Уопће користите своје уређаје са заштитним зидом: напредне савете за безбедност

Преко поуздане конфигурације

Поуздан број фајерволова постоји из разлога - они омогућавају брзо функционисање система са минималним трчањем. Али такође представљају излазну линију, а не крајњу тачку. Поуздан правило поставља да су бродови са већином уређаја ватрозаштита дизајнирани да раде у широком спектру окружења. Они приоритетно стављају повезивање изнад сигурности, омогућавајући широк приступ који поједноставља почетно распоређивање. Ако их оставите непромењене, ствараће се непотребно излагање.

Максимизација ефикасности бранила значи прелазак изван поузданх подешавања. То значи разумевање специфичних обрасца саобраћаја на мрежи која се штити и прилагођавање правила у складу са тим. То значи да се примењује принцип најмање привилегија не само у теорији, већ и у пракси, дозвољавајући само оно што је изричито потребно и негирајући све остало. Потребан напор је скромни у поређењу са побољшањем безбедности које је постигнуто.

Уставни правила хигијене: Очистите натрупани срод

Скупштине правила за заштитни зид имају тенденцију да се органски развијају током времена. Привремено правило додато за посету добављача постаје трајно. Правеље за тестирање нове апликације остају на месту дуго након што апликација буде активна. Изузеци се акумулирају, сваки додајући комплексност и потенцијалну изложеност. Резултат је скуп правила које нико у потпуности не разуме и који садржи много више допуштања него што је потребно.

Редовни преглед правила решава овај проблем. Процес је једноставан: експортирајте тренутни скуп правила, документујте шта свако правило заправо ради, проверите да ли је свако правило још увек потребно, и уклоните или затегнете све што није потребно. Први преглед често даје највеће смањење. Многе организације сматрају да се 20-30% њихових правила може елиминисати или консолидовати. Наредне прегледе ухватиле су мање акумулације пре него што су порасле.

Логовање: Недовољно коришћен дијагностички алат

Логови ватровара садрже богатство информација које остају неискоришћене у многим распоређивању. Свака дозвољена веза, сваки блокиран покушај, свака утакмица правила генерише унос у дневник. Ови дневници документују нормалне моделе саобраћаја, откривају необичну активност и пружају доказе када нешто не иде на ред. Ипак, многе организације третирају регистрацију као контролно кутију за усклађеност, а не као оперативно средство.

Ефикасно управљање дневником почиње разумевањем онога што се бележи. Не треба да сваки догађај буде детаљан на исти начин. Регистрирање сваке дозвољене везе у окружењу са великим сообраћајем ствара проблеме са складиштењем. Регистрирање само блокираних веза и необичних догађаја пружа корисну интелигенцију без општа трошкова. Кључ је у прилагођавању нивоа дневника на одговарајући начин, довољно детаљно да буде корисно, довољно селективно да буде управљано. Редовни преглед дневника, чак и кратки, открива проблеме које аутоматска упозорења могу пропустити.

Инспекција индустријског протокола: изван правила заснованих на лукама

Стандардна правила ожареника која се ослањају на бројеве порта не пружају адекватну заштиту индустријских мрежа. Нападач може да шаље злонамерне Модбуске команде преко порта 502 - стандардног Модбуског порта - и правило засновано на порту ће их радо проћи. Брандвол види правилан порт и дозвољава саобраћај без испитивања онога што је унутра.

Индустријски уређаји за заштиту од пожара са инспекцијом протокола испитавају садржај порука индустријског протокола. Они разумеју структуру Modbus захтева, командни скуп Profinet, формат података EtherNet/IP. Ово разумевање им омогућава да идентификују аномалије - Модбус за писање команде у регистар само за читање, низ команда који не одговара нормалним оперативним обрасцима, поруку која прелази разумна граница величине. Ове аномалије често указују на погрешну конфигурацију или активни напад. Протоколски инспекторан инспектор ухватио је обоје.

ИЕЦ 62443 стандард експлицитно захтева ову врсту ограниченог пролаза података између зона. Правила у лукама не испуњавају стандардне захтеве. Протоколски инспектори то знају. Организације које подлежу захтевима за усаглашеност морају да провере да ли њихови уређаји за заштиту од пожара подржавају ову способност и да ли је правилно конфигурисан.

Преоптоварење и неуспешно прелазак: Планирање за неизбежно

Уређаји за заштиту ће на крају пропасти. Подаци енергије се деградирају. Ажурирање фирмвера се поквари. Грешеви у конфигурацији блокирају администраторе. Питање није да ли ће се неуспех догодити, већ да ли ће мрежа остати заштићена када се то деси.

Конфигурације високе доступности решавају ово спајањем уређаја ватрозаштита у активно-пасивно или активно-активно подешавање. У активно-пасивној конфигурацији, један уређај управља свим саобраћајем док други стоји спреман. Ако активни уређај не функционише, пасивни уређај преузима са минималним прекидом. Активна-активна конфигурација распоређује трафик преко оба уређаја, пружајући балансирање оптерећења, као и редунанцију.

Напрег конфигурације није тривијалан. Табеле о стању морају се синхронизовати између уређаја тако да активне везе преживе прелазак. Рутинг мора да учествује у промени активног уређаја. Испитивање мора да провери да прелазак на грешку функционише како се очекује. Али напори се исплаћују када се снабдевање струјом повуче у 2 сата и производња настави непрекидно.

Реални сценарио: Доступ на даљину извршен исправно

Водна компанија која служи средишно великом метрополном подручју требала је да обезбеди удаљени приступ продавачима опреме и извођачима одржавања. Оригинално решење користило је ВПН уређај са широким правилима приступа сваки аутентификовани корисник могао је да дође до било ког уређаја на ОТ мрежи. Уредба је успела, али је изазвала значајну оглашавање. Ослобођен рачуна продаваца ће пружити приступ целокупном систему контроле.

Утилност је редизајнирала архитектуру удаљеног приступа користећи уређаје ватрозаштита са грануларним контролама приступа. Сваки продавац је добио приступ само специфичним системима које су му биле потребне за подршку. Уговорници за одржавање могли су да стигну само до опреме на локацијама које су одржавали. Ваћан ватропромет је спроводио ова ограничења на нивоу мреже, допуњавајући аутентификацију ВПН-а правилима овлашћења која су ограничавала оно што аутентификовани корисници могу да раде. Нови аранжман је значајно смањио површину напада без додавања комплексности за легитимне кориснике.

Праћење и упозорење које заиста помаже

Уређаји за заштиту од пожара генеришу упозорења са одређеним разлогом: да би привукли пажњу на догађаје који треба истражити. Али, умор од будности је реалан. Превише упозорења, посебно оних ниског квалитета, доводи до игнорисања обавештења и пропуштених инцидената. За ефикасно упозорење потребно је прилагођавање: смањење лажно позитивних података, приоритетизовање критичних догађаја и осигурање да упозорења стигну до одговарајућих људи.

Почните са категоризацијом упозорења по тежини. Промене конфигурације, администраторске пријаве и критичне грешке захтевају хитну пажњу. Поновни неуспех уласка са спољних адреса заслужује истрагу, али можда не и страницу у 2 сати. Трафикски скокови у необичним дестинацијама су негде између. Категоризација треба да одражава толеранцију ризика организације и оперативна ограничења. Производња 24 сата дневно има различите потребе за упозоравањем од канцеларијске мреже која се користи само током дана.

Редовни седници прегледа упозорења, који се воде недељно или месечно, идентификују обрасце које појединачни упозорења не откривају. Серија нискотежених упозорења из различитих извора може заједно указивати на координирани напад. Процес прегледа такође пружа повратну информацију за подешавање.